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Arkaluontoisten tietojen tallentaminen 
Keksinnon ala 

Keks1nt6 liittyy henkilSdn liittyvien arkaluontoisten tietojen tallenta- 
miseen ja erityisesti potilaan resepti- ja/tai muiden potiiastietojen tallentami- 
5 seen. 

Keksinnon tausta 

Perinteisesti reseptitietoja el ole tallennettu muualle kuin varslnal- 
seen paperireseptiin ja mahdollisesti laakarin kayttarhan, suljetun tietojarjes- 
telman tietokantoihin. Vastaavasti potilastietoja oh yllaipidetty paperille tallen- 
10 nettun^ ns. potilaskansibthin ja sen lisSksi mahdollisesti I3akariaseman, terve- 
ysaseman ja/tai sairaalan suljetussa tietojarjestelm§ssa. Ulkopuoliset organi-" 
saatiot eiv§t ole paasseet naihin tietoihin kdsiksi. tietollikenneyhteyksien.pa- 
rantuessa on kehitetty esimerkiksi erilalsia reseptinvalitysjarjestelmi3, jolsta 
useimmat perustuvat siihen, etta resepti on iahetetty suoraan laakkeen toimit- 
15 tavaan apteekkiin, eikd resepteista nain ollen ole keratty mitaan tietokantaa. 
f Tallaisten ratkaisujen ongelma on kuitenkin oilut se, etta henkildn on paat^tta- 

vd jo reseptin kirjoitusvaiheessa apteekki, jossa aikoo asioida. 

Tdman ongelman ratkaisuksi on esitetty keskitettyS tietokantaa, jo- 
hon reseptit voidaan tallentaa ja josta ne voidaan hakea mista tahansa aptee- 
/J: 20 kista. Tallaisen tietokannan ongelmana on se, etta on taattava tietojen luotla- 
muksellisuus efi se, etta ulkopuoliset eivat vol saada tietoonsa minkalaisia re- 
! septeja tietylle henkildlle on kirjoitettu. 

\\i • - Eras tapa ratkaista t§ma ongelma on se, etta reseptitieto tallenne- 

.taan yhdessa henkilo6ri liittyvan ulkoisen tunnisteen kanssa, josta tunnisteesta 
25 ei kuitenkaan pystyta Identifioimaan henkilosi, ja tietooh paSsee kasiksi vain 
mainitulla ulkoisella tunnisteella. Ulkoinen tunniste voi olia esimerkiksi biomet- 
rinen tunniste, kuten sormenjaiki, tai henkilokohtaisessa aiykortissa oleva koo- 
di. Ulkoisen tunnisteen kaytto edellyttaa kuitenkin koodihiukijoita seka tallen- 
^ ^ nuspaassa etta tiedonhakupaassa ja jopa sita, etta henkild kantaa mukanaan 

I 30 koodia erillisessa kortissa tai vastaavassa. 

j Eras toinen tapa on suojata tiedot vahvaa salausta kayttaen. Vah- 

1 van salauksen ongelmana on, etta se vanhenee ajan myOta muuttuen ndin 

turvattomaksi. Resepti- ja potiiastietojen tulisi pysya salaisina usetta kymmenia 
vuosla. Salaaminen edellyttaa my6s salausohjelmien kayttoa tietoja tallennet- 
35 taessa ja salauksen purkuohjelman kayttoa tietoja purettaessa. Mama ohjelmat 
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ovat eri saiausmenetelmilld eriiaisia. Menetelmien haittana on myds se, etta 
niissa tulee sopla siita, miten salausavalmia k§ytet§an, sailytetaSn ja vaihde- 
taan. Lisaksi vahvasti saiatun tiedon kaytt5 tutkimukseen ja muuhun vastaa- 
vaan k3ytt5dn on erittSin vaikeaa ja julkisen avaimen salausta kdytettdessa 
kaytdnndssd mahdotonta. 

Keksinnon lyhyt selostus 

KeksinnSn tavoltteena on siten kehittaa menetelma ja menetelmdn 
toteuttava laitteisto siten, etta arkaluontoisia tietoja voidaan hakea henkil6itt3jn 
yieisesti kaytossS olevalla henkilOn tunnisteella, kuten henkilotunnuksella, mut- 
ta arkaluoritoiset tiedot ovat tallennelttu siten, ett^ hiita ei pyslyta^yhdjstamaan 
kehenkaan hepkildSn. Keksihndn tavbite saavutetaan menetelmaiia, tjetoli'i- 
kennepalveiimilla, verkkosolmulla Ja jarjesteimsilia , joille on tunnusomaista se, 
mjta sanotaan itsenaisissa patenttivaatinnuksissa. Keksinnon eduiliset suori- 
tujsmuodot ovat ep3itseri3isten patenttivaatimusten kohteena. 

KekslntG perustuu sllhen, ett§ tallennusvaiheessa arkaluontoiset 
tiedot, kuten reseptin sis§lt§ma iaakem§§rays, ja henkll5n tunnistetledot, kuten 
henkildtunnus, erotetaan toislstaan tailentanriaila henkildn tunnistetledot en- 
simmdiseen tietPkantaan ja arkaluontoiset tiedot toiseen tietokantaan siten, et- 
ta tiedot sidotaan toisiinsa toisen tunnisteen avulla. Tolnen tunniste itsessaan 
el sisaiia mitaan, mika yhdistaisl sen johonkin tiettyyn henkil66n. Nain arka- 
luontoiset tiedot ovat tarvlttaessa haettavissa henkildn tunnlstetletojen avulla ja 
samalla tutkittavissa ilman henkilon tunnistetietoja. Tassa ladkemdarSys sisai- 
taa edullisesti kaikki reseptissa olevat laakitystiedot. Tolsin sanoen keksintO 

- perustuu kahden eriilisen tietokannan kayttSSn sisaisen tunnisteen avulla. 

- . Keksinnon etuna on, etta arkaluonteisia tietoja ei tarvitse salata, silia 
arkaluontoisia tietoja sisaitavassa toisessa tietokannassa ei ole mitaan, mika 
paljastaisi tietoja luvallisesti tai luvattomasti tutkivalle, keneen arkaluontoiset 
tiedot liittyvat. Lisaksi arkaluontoiset tiedot ovat tutkljoiden ja viranomaisten 
kaytds^a Ilman, etta kenenkaan tietosuojaa vaarannetaan ja/tai ilman, etta tut- 
kijoille tai viranomaisille pitaisi antaa salaista tietoa, jonka avulla tiedot saisi pu- 
rettua kayttOkelpolseen muotoon. Lisaksi etuna on se, etta tietoja tallennetta- 
essa tai haettaessa tiettyyn henkliesn liittyvia tietoja, jarjestelman kayttajalia ei 
tarvitse olla erlllisia lukulaltterta tai vastaavja elka henkilfin tarvitse kantaa mu- 
kanaan tai ostaa ylimaaraista tietoa sjsaitdvda tunnistusyksikkaa, kuten dly- 
korttia. Vieia eraana etuna on, etta koska tiedonhaussa kaytettava tunniste on 
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jarjestelman sisainen tunniste, ei jarjestelmSn loppukSyttajien tarvitse huolehtia 
tietoturvajSirjestelman toiminnasta. 

Kuvioiden lyhyt selostus 

KeksintOd selostetaan nyt Idhemmin edullisten suoritusmuotojen yh- 
5 teydessS, viitaten oheisiin piirroksiin, joista: 

Kuyio 1 es'rttas esimerkkisuoritusmupdon yksinkertaistettua j^ijes- 

telmaarkkitehtuuria; 

Kuvio 2 esittaa lohkokaavion verkkosolmusta, joka kSsittas esi- 
merkkisuoritusmupdon mukaisen tunhistetietokan • , " 
. 10 Kuvio 3 esittM lo^lkokaavion vertckdsolrnusta^ Joka ^k^ esi^ 
' ■ merkkisuoritusmuodon mukaisen arl<aluontoista tietoa sisaltavSn tietokannan; 

Kuvio 4 esittaa lohkokaavion esirnerkkisuoritusmuodon mulcaisesta 
tietoliikennepaivelimesta; 

Kuvio 5 on vuokaavio esimerkkisuoritusmuodon mukaisen tunniste- 
15 tietokannan k3sittavdn verkkosolmun toiminnasta; 
i Kuvio 6 on esimerkkisuoritusmuodon mukaisen arkaluontoista tietoa 

r.V : sisait3v§n tietokannan kdsittavSn verkkosolmun toimintaa havainnollistava 
I'l^ : vuokaavio; ja 

j Kuvio 7 on esimerkkisuoritusmuodon mukaisen tietoliikennepalveli- 

' 20 men toimintaa havainnollistava vuokaavio. 
• • i ... 

Keksinn&n yksityiskohtainen selostus 

Keksintoa tullaan seuraavassa selostamaan kayttaen esimerkkinS 
reseptin valittSmista reseptitietokannan vSlityksella reseptin kirjoittamispistees- 
t§, kuten terveysasemalta tai yksityiselta laakariasernalta, apteekkiin. Keksin- 
tea ei kuitenkaan ole rajoitettu tahSn nimenomaiseen ratkaisuun, vaan esilia 
olevaa keksintda voidaan soveitaa minkd tahansa arkaluonteisen tiedon, kuten 
potilashistorian, laakityshistorian jne, tallentamiseen ja tan/ittaessa vaiittami- 
seen niinne tahansa. ErSs toinen esimerkki, jossa keksintSS voidaan soveitaa, 
on yhteisen potilashistorian luominen seka terveysaseman tiedoista ettd yksi- 
tyisen laakdriaseman tiedoista, ja yhteisen potilashistorian kSyttS joko terveys- 
asemalta tai yksityiselta ISdkdriasemalta. KeksintdS voidaan my3s soveitaa 
esimeridksi Intemet-kaupankSynnissS laskutus- ja/lai ostotletojen tallentami- 
seen. 

Kuvio 1 esittaa yksinkertaistetun jarjestelmaarkkitehtuurin kuvaten 
vain ne elementit, joita tan^itaan keksinndn esimeriddsuoritusmuodon kuvaami- 
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seen. Kuvlossa 1 esitetyt verkkosolmut ovat loogisia yksikOlta, joiden Imple- 
mentaatio voi poiketa esitetysta. Alan ammattilaiselle on ilmelsta etta jarjestel- 
ma voi kasittaa myos muita toimlntoja ja rakenteita, joila ei tarv'rtse kuvata tar- 
kemmin t3ss3. 

J§rjestelm§ kasittaa terveysasemajarjestelman 1, apteekin jarjes- 
telman 2. seka kaksi verkkosolmua 3, 4. jotka kumpikin sisaitavat tietokannat 
seka kaksi tietollikenneverkkoa 5. 5' joiden vaiitykselia verkkosolmut 3, 4 pvat 
kytkettyna terveysasemajarjestelmaan 1 ja apteekin jarjestelmaan 2, Jarjes- 
telmassa yoidaan kayttaa langatonta tiedonsiirtoa, kiinteaan yhteyteen perus- 
tuvaa tiedonsiirtoa tai mblempla. 

Kuvion i esimerkkisuoritusmuodossai terveysasemajarjestelma 1 
kSsittaa ainakin reseptintallennusosion 1 1 ja tietoliikennepalvelimen 12. F^e- 
septintallennusosiolla 11 tarkoitetaan niita vaiineita ja kayttoliittymaa Ul, joiden 
avulla resepti voidaan iuoda ja valittaa tietoliikennepalvelimen 12 vaiitykselia 
resepteja sisaitavsan tletokantaari. Esimerkkisuoritusmuodon mukaista tieto- 
liikennepalvelinta kuvataan tarkemmin kuvioiden 4 ja 7 yhteydessa. 

Kuvion 1 esimerkkisuoritusmuodossa apteekin jairjestelma 2 kaslttaa 
tietoliikennepalvelimen 22. |onka avulla resepti haetaan resepteja sisaitavasta 
tietokannasta ja jonka vaiitykselia reseptiin mahdollisesti tehtavia merklntSja. 
voidaan tallentaa, seka reseptin kasittelyosion 21, joka on jarjestetty naytta- 
maan reseptin sisailOn kayttaiiittyman Ul* vaiitykselia apteekin henkilOstOlle ja 
jonka vaiitykselia henkil6st6 voi esimerkiksl tallentaa reseptin toimitlamiseen 
liittyvia tietoja. Esimerkkisuoritusmuodossa apteekin jarjestelmassa oleva tieto- 
liikennepalvelin 22 on samanlainen kuin terveysasemajarjestelmassa oleva tie- 
"toliikennepalvelin 12. Keksinnon joissain muissa suoritusmuodoissa tietoliiken- 
-nepalvelimet voivat erota toiminnoiltaan toisistaan. 

Alan ammattilaiselle on ilmeista, etta seka terveysasemajarjestelma 
1 etta apteekkijarjestelma 2 kasittavSt muitakin osajarjestelmia ja/tai osioita, 
joita ei.ole kuvattu tassa tarkemmin. koska ne ovat varsinaisen keksinnon kan- 
nalta epaoleellisia. Esimerkkeja tailaisista ovat erilaisettunnistamisjarjestelmat, 
ja palomuurit, joilla varmennetaan mm. se, etta tietoja paasee tallenta- 
maan/lukemaan vain sellainen, joka on siihen oikeutettu. Alan ammattilaiselle 
on myds ilmeista. etta terveysasema- ja/tai apteekkljarjestelniia ja/lal niiden si- 
saitamia elementteja vol olla useita. 

Kuvion 1 esimerkkisuoritusmuoto kaslttaa kaksi erillista verkkosol- 
mua 3, 4. jotka kumpikin kasittavat tietokannan DB1. DB2. Tietokannat eroa- 



vat toisistaan siten, etta toiseen tietokantaan on tallennettu arkaluontoisia tieto- 
ja eli keksinnSn esimerkkisuoritusmuodossa laakemdardyksia ja toiseen henki- 
lon yksiiaivia tietoja. Tietokantojen rakennetta kuvataan yksityiskohtaisemmin 
kuvioiden 2 ja 3 yhteydessS ja niiden toimintaa esimerkkisuoritusmuodossa 
5 kuvioiden 5 ja 6 yliteydessd. Kekslnndn jossain muussa suoritusmuodossa tie- 
tokannat voivat fyysisesti sijaita samassa verkkosoimussa ollen kuitenkin erilli- 
sid tietokantoja. Tietokannat tai tolnen niistS voivat kdsittas useampia toisiinsa 
linkitettyja tietokantoja. jotka voivat sijaita fyysisestikin eri verkkosolmuissa, jot- 
ka verkkosolmut voivat olla osa suljettua tai avointa tietoverkkoa. Toisiinsa lin- 
10 kitelyt tietokannat voivat sisaltaa myds erilaista tietoa. Esimerkiksi avoin tietp- 
kanta voi kSsittaa foisiiinsa linkitettyja tietokantoja siten, etta yhdessS linkitetys- 
sa tietokannassa on laakem§araystieto]a, tolsessa laboratoriotietoja ja kol- 
mannessa ika-, pituus- ja painotietoja. Loppul<ayttajalle nSmS toisiinsa linkitetyt 
tietokannat kayttaytyvat kuin yksi yhtenSinen tietokanta. 
15 Kumpikin tietokannan sisaltava verkkosolmu on kytketty tletoliiken- 

nepalvelimiin 12, 22 verkkojen 5, 5' vaiitykselia. Silla, miinin tietoliikennejarjes- 
telmaSn valissa olevat verkot perustuvat ja silia, perustuvatko ne samoihin val 
eri jarjestelmiin. ei ole keksinnSn kannalta merkitysta. Verkot voivat olla esi- 
merkiksi Intemet-verkkoja, puhellnverkkoja tai matkaviestinverkkoja. 
20 Vaikka keksinndn esimerkkisuoritusmuodossa oletetaan, etta tieto- 

liikennepalvelin on osa sita osajarjestelmaa, jolie se vaiittaa tietoja tietokannas- 
ta tai josta se vaiittaa tietoja tietokantaan, on alan ammattllaiselle ilmeista, etta 
tietoliikennepalvelin voi olla jarjestetty omaksi erilliseksl verkkosolmuksi tai 
jommankumman tietokannan sisaitavaan solmuun. Silla. etta tietoliikennepal- 
25 velin on osja osajarjestelmaa, saavutetaan se etu, etta yieisessa verkossa el 
tan/itse lahetiaa arkaluontoista tietoa yhdessa iienkilStunnuksen kanssa! Nain 
parannetaan edelleen yksittaisen henkilon tietotun/aa, 

Kuviossa 2 havainnollistetaan tunnisteita sisaitavaa tietokantaa, ns. 
tunnistetietokantaa eli esimerkkisuoritusmuodon mukaista verkkosolmua 3, jo- 
30 ka kasittaa yhteysosan 31, sovellusosan 32 ja henkilSkohtalsta tietoa sisalta- 
van tietokannan DB1 . 

Henkiiekohtaista tietoa sisaltava tietokanta DB1 kasittaa tietuelta 33, 
joissa on yhdistetty henkilotunnus HETU taile nimenomaiselle henkilotunnuk- 
selle generoltuun tunnlsteeseen TUNNISTE. Henkildtunnus on tunniste, jota 
35 kaytetaan henkllSn identifioimiseen yksikasltteisesti. Generoitu tunniste on 
edullisesti yksikasitteinen arkaluontoista tietoa sisaitavan tietokannan sisaiia 
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siten, etta arkaluontoiste tietoa sis§itavassd tietokannassa yksi generotelun 
tunnisteen arvo voi liittya vain yhteen henkiieSn. Yhdelia henkllSlla voi olla 
uselta genero'rtuja tunnlsteita. mutta eslmerkkisuorltusmuodossa oleletaan, et- 
ta yhdelia henkiiaiia on vain yksi generoitu tunniste. Tietokanta voi mySs kSsit- 
5 taa esimerkiksl listauksena (el esitetty kuviossa 2) tiedon niista tletoliikenne- 
palvelimista, joilla on kayttooikeus tietokannan tietoihin. 

Yhtfeysosa 31 vastaanottaa erilaisia pyyntdjS seka apteekkijarjes- 
telman tietoliikennepalvelinrielta etta terveysasemajarjestelman tietoliikenne- 
palvellmelta ja vaiittaa vastauksia pyyntSihin. Pyynnot ovat tyypillisesti tiedon- 
10 hakujjyyntfHa. joilla kysytaan tiettyyn henkilotunnukseen liittyvaa generoltua 
tunnistetta. Yhteysosa 31 voi , olla myos sovitettu valittamaan soveHuspsalle 32 . 
tiedoli siita/miita tietoliikennepafvelimelfa 

Sovellusosa 32 on konfiguroitu etsimaan tietokannasta henkilStun- 
nusta vastaavan generoidun tunnisteen ja palauttamaan sen yhteysosan 31 
15 valityksella sita kysyneelle tietoliikennepalvelimelle. Lisaksi sovellusosa 32 voi 
olla konfiguroitu tarkistamaan ennen generoidun tunnisteen hakeitilsta tleto- 
kannasta, onko tietoa pyytava tietoliikennepalvelln sallittu tietoliikennepalvelin, 
toisin sanoen, loytyyka se esinnerkiksi tietokannassa DB1 olevalta llstalta. ja 
jos tietoliikennepalvelin ei ole sallittu, joko esimerkiksl lahettamSan pelkan tyh- 
20 jan tiedon tai negatiivisen kulttauksen tietoa kysyneelle tietoliikennepalvelimel- 
le. Lisaksi sovellusosa 32 voi olla konfiguroitu llsaamaan tietokantaan sallittu- 
jen tietoliikennepalvelimien listalle uusia tietoliikennepalvelimia. KeksinnSn 
esimerkkisuoritusmuodossa sovellusosa 32 on konfiguroitu silloin, kun generol- 
tua tunnistetta ei laytynyt, lahettamSSn negatiivisen kuittauksen generoitua 
25 "tunnistetta kysyneelle tietoliikennepalvelimelle ja vasteena tietoliikennepalveli- 
meKa vastaanotetulle generointipyynnolle generoimaan tuiinisteen, tallenta- 
maan sen yhdessa henkiiatunnuksen kanssa tietueeksl 33 tietokantaan DB1 Ja ^ 
lahettamaan nain generoimansa tunnisteen yhteysosan 31 valityksella gene- 
rointipyynnSn lahettaneelle tietoliikennepalvelimelle. Generoitu tunniste voi olla 
30 esimerkiksl juokseva numero. KeksintS ei kuitenkaan rajoita generoidun tunnis- 
teen muotoa ja/tai sisaltoS mitenkaan. Keksinnon Jossain mulssa suoritusmuo- 
doissa, jossa esimerkiksl tietoliikennepalvelin tai joku muu taho huolehtii gene- 
roidun tunnisteen generoinnista. sovellusosa 32 on konfiguroitu silloin, kun ge- 
neroitua tunnistetta ei ISytynyt, joko esimerkiksl lahettamaan pelkan tyhjan tle- 
35 don tai negatiivisen kuittauksen generoitua tunnistetta kysyneelle tietoliikenne- 
palvelimelle. Vieia eraassa keksinnon suoritusmuodossa sovellusosa voi olla 




konfiguroitu generoimaan vasteena sille, ettd henkilotunnukselle ei ioydy gene- 
roitua tunnistetta, generoidun tunnisteen, tallentamaan sen yhdessa henkild- 
tunnuksen kanssa tietueeksi tietokantaan DB1 ja ISihettdrndan nain generoi- 
mansa tunnisteen yhteysosan 31 vaiitykselld sita kysyneelle tietoliikennepalve- 
5 limelle 

Koska esimerkkisuoritusmuodossa vain tunnistetietokanta osaa yh- 
distaa tietyn generoidun tunnisteen tiettyyn lienkiiSdn, pysyvat arkajuontpiset 
tiedot salaisina toisessa tietokannass;a taateri ndin henkilon tietoturvan. 

Keksinnon jossain muussa suoritusmuodossa tunnistetietokanta yoi 
10 sisaltaa henkilotunnuksen lisaksi myos muita vahennman yksiloivia tietoja, ku- 
ten esimerkiksi osoitteen tai muita demografisia tietoja. , 

Keksinnon jossain muussa suoritusmuodossa tunnistetietokanta vol 
"mySs kasittaS suostumuksenliallintaan liittyvia tietoja. Tallaisessa suoritus- 
muodossa esimerkiksi potilaalta kysytaan suostumusta siihen, saako iianen 
15 laakemaarSystaan/iaakemaarayksiaan taiientaa tietokantaan ja/tai minkalaisia 
tietoja saa taiientaa tietokantaan. 

Keksinnon jossain muussa suoritusmuodossa tunnistetietokanta voi 
lisaksi kasittaa alitunnisleita, joita voidaan kSyltaa sen maarittelemiseen, min- 
kaiaisia oikeuksia alitunnisteen omaavalla on kasiteiia arkaluontoisia tietoja si- 
[ll 20 saltavan tietokannan tietoja. Eras esimerkki alitunnisteesta on mainostajan 
III tunniste. Niiden tunnisteiden, joihin mainostajan tuniiiste on liitetty, omistajille 

voidaan lahettaa mainostajan mainoksia. 

Keksinndn muissa suoritusmuodoissa sovellusosa 32 on konfiguroi- 
tu suorittamaan suoritusmuotoihin liittyvia toimintoja. 
25 ' Kuviossa 3 havainnollistetaan arkaluontoisia tietoja sisaitavda tieto- 

kantaa eli esimerkkisuoritusmuodon mukaista verkkosolmua 4, joka kasittaa 
yhteysosan 41, sovellusosan 42 ja reseptitietokannan DB2. 

Yhteysosa 41 vastaanottaa erilaisia pyyntoja seka apteekkijarjes- 
telman tietoliikennepalvelimelta etta terveysasemajarjestelman tietoliikenne- 
30 palvelimelta ja valittaa vastauksia tai kuittauksia pyyntSihin. Pyynnot ovat tyy- 
pillisesti joko tiedonhakupyyntoja, tiedon tallennuspyynt6ja tai tiedon muok- 
kauspyyntoja. Yhteysosa 41 voi olla myOs sovitettu vaiittamaan sovellusosalle 
42 tiedon siita, milta tietoliikennepalvelimelta pyynt6 vastaanotettlin. 

Resepteja sisaitava tietokanta DB2 kasittaa tietueita 43, joissa ge- 
35 neroituun tunnisteeseen TUNNISTE on yhdistetty esimerkkisuoritusmuodossa 
kaikki laakemaaraykset ja muut mahdolliset tunnisteeseen. liittyvat tiedot. Toi- 
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sin sanoen tietoja tallennettaessa etsitddn tietue, jossa on vastaava tunniste ja 
tallennetaan tieto/tiedot siihen sielld jo olevien tietojen lisaksi. Keksinnfin jos- 
sain muussa suoritusmuodossa tiedot tallennetaan pienempiin tietuelsiin, jotka 
kdsittSivdt tunnisteen ja silid kenralia tallennetun tiedon. Tdssd suoritusmuo- 
5 dossa tietoja haettaessa haetaan tietokannasta kaikki tietueet, joissa on ko. 
tunniste. Yksinkertaislmmillaan resepteja sis3lt3v3 tietokanta kaslttdd vain 
avoimia reseptej§ eli resepteja, joita ei vield ole tolmitettu tai jolsta os.a on toi- 
. mitettu. ReseptejS sis3jt§v§ tiietokanta vol kdsittSa myds esinierkiksi ns. laaki- ' 
tyshistorian, potilashlstorian, erilaisia potilaan taustatietoja, kuten ika, paino, 
Id tupakointi, jne, laskityksen haittavaikutustietpa, laboratoriokokelden tuloksia 
ja/tal tietba allergioista. Tietokanta voi my6s kasltt§a esimerkiksi listauksena (el 
esitetty kuviossa 3) tiedon niistS tietoliikennepalveiimista, joilla on kayttSoikeus 
tietokatinan tietoiliin. Tietoliikennepalvelimet voivat olla myos listattu siten, ett§ 
Joillakin on oikeiis saada vain pyydettyyn tunnisteeseen liittyvsa tietoa, joillain 
is on oikeus vain pyyntoihin, joissa ei esiinny tunnistetta (eli massatietoihin) ja 
joillain tietoliikennepalvelimilla on oikeus kaikkiln tietoihin. Tietokanta voi lisdksi 
kdsittdd alitunnisteita, joita voidaan kSyttda esimerkiksi sen mdSrittelemiseen, 
minkSIaisia oikeuksia alitunnisteen omaavalla on kSsitelld tietokannan tietoja. 

Sovellusosa 42 on konfiguroitu erottamaan toisistaan erilaiset'pyyn- 
20 ndt ja toimimaan niiden mukaisesti. Sovellusosa 42 on siten konfiguroitu etsi- 
m3dn tietokannasta generoitua tunnistetta vastaavat laakemdaraykset ja pa- 
iauttamaan ne yhteysosan 41 vaiitykselld nlitd pyytSneelle tietolllkennepalveli- 
melle, tallentamaan generoidun tunnisteen yhteyteen uusia iaakema§r§yksia ja 
muokkaamaan tietokannassa olevia ladkernddrdyksia. Lisaksi sovellusosa 42 
25 "voi olla konfiguroitu tarklstamaan ennen avoimien reseptien hakemista, muok- 
■kaamista ja/tai tallentamlsta tietokannasta, onko tietoa pyytava tietollikenne- 
palvelin sallittu tietoliikennepalvelin, toisin sanoen, I5ytyyk6 se esimerkiksi tie- 
tokannassa DB2 olevalta listalta, jolle tallaista tietoa saa antaa. ja jos tietolii- 
kennepalvelin ei ole sallittu, joko esimerkiksi lahettamaSn pelkskn tyhjdn tiedon 
30 tai negatiivisen kulttauksen pyynnon esittaneelle tietoliikennepalvelimelle. Li- 
.1 saksi sovellusosa 42 voi olla konfiguroitu lisadmdan tietokantaan sallittujen tie- 

:i toliikennepalvelimien listalle uusia tietoliikennepalvelimia. Sovellusosa 42 voi 

* I olla myds konfiguroitu generoimaan ja/tai tallentamaan alitunnisteita. Keksin- 

' n6n esimerkkisuoritusmuodossa sovellusosa 42 on lisaksi konfiguroitu suorit- 

35 tamaan erilaisia tietokantahakuja. Tietokannasta voidaan hauilla selvittaa esi- 
merkiksi, kuinka monta reseptia (laakemadraysta) maarattlin viime kuussa ko- 



ko maassa tai Helsingissd, mika on oilut eniten maardtty IdSkeyhdistelmd reu- 
man hoitamiseen viimeisten 10 vuoden aikana. montako reseptiS potilaalle A 
on madratty viimeisen 3 vuoden aikana tai "Kuinka suuressa %-osuudessa 
viime vuonna maaratyista resepteista maarattiin laaketta X. Sovellusosa 42 voi 
5 olla lisaksi sovitettu generoimaan alitunnisteita. 

Kuviossa 4 esitetaan lolikokaavio keksinnon esimerkkisuoritusmuo- 
don mukaisesta tletoliikennepalveiimesta 12. Tietoliikennepalvelin voi olla. 
oma, efiijinen paivelin tai sitteri esimerkiksl jarjestelmaan liitettava ohjelmisto- 
moduuli. Keksinnon esimerkkisuoiitusmuodpssa oletetaan, etta jarjestelmassa 
10 kaytetaan vain yhden tyyppisia tietoliikerinepalvelimia, jotka lisataari kuhunkin 
keksinnSn mukaisia tietokaritdja kayttaviin osajarjestelmiih. Tbisin sanoen esi- 
merkkisuoritusmuodossa kalkkiin osajaiiestelmiin, jotka hakevat tietoa ja/tai 
tallentavat tietoa tietokantaan, lisataan saman tyyppinen tietoliikennepalvelin. 
Kekslnn5n joissain muissa suoritusmuodoissa tietoiiikennepalvelimia voidaan 
15 raataioida suorittamaan vain niita toimintoja, joita osajdrjestelmassa tarvitaan. 
kuten esimerkiksl massatiedonhakuja suoraan kuvion 3 tietokannasta ilman 
, mitaan tunnisteita. 

Esimerkkisuoritusmuodossa oletetaan. etta osajaijestelma, jonka 
psana tietoliikennepalvelin toimii, autentikoi kayttajat ja tietoliikenneohjeet si- 
lyJ 20 ten, etta tietoliikennepalvelin voi luottaa siihen, etta sita paasee kayttamaan 
vain siihen valtuutetut henkilot/laitteet. Keksinndn joissain muissa suoritus- 
muodoissa tietoliikennepalvelin voi sisaitaa erilaisia kayttajien ja/tai laitteiden 
**: autentikointitoimintoja ja/tai -vailneita tietoturvasyista. 

Viitaten kuvioon 4 esimerkkisuoritusmuodon mukainen tietoliikenne- 
i 25 paivelin 12 kasittaa kaksi erillista yhteysosaa 121, 121' ja niiden vaiisen sovel- 
;*%:! lusosan 122. 

•".! Ensimmainen yhteysosa 121 on konfiguroitu olemaan yhteydessa 

*, i siihen osajarjestelmaan, jonka osa tietoliikennepalvelin on. Se vastaanottaa 

:;: kayttajilta pyyntSja ja vaiittaa ne edelleen sovellusosalle seka vastaanottaa so- 

30 vellusosalta pyyntdihin tulieet vastaukset ja vaiittaa ne edelleen kayttajaile 
V: . kayttSliittyman vaiitykselia. 

•J I Toinen yhteysosa 121' on konfiguroitu olemaan yhteydessa tunnis- 

tetietokantaan ja arkaluontoisia tietoja sisaitavaan tietokantaan eli reseptitieto- 
kantaan. Toinen yhteysosa lahettaa sovellusosalta vastaanottamiaan tiedon- 
35 haku- tai tallennuspyyntdja tai niiden perusteella generoituja pyyntdja tietokan- 
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toja sisSltavilie verkkosolmuille ja vastaanottaa niilta vastauksia, jotka se edei- 
leen vSlittaa sovellusosatle. 

Esimerkkisuoritusmuodon miukainen sovellusosa 122 on konfiguroi- 
tu suoritteinnaan tarkemmin kuvion 7 yhteydessa suoritettavat toiminnot. Lyhy- 

5 esti sanbttuna sovellusosa 122 on konfiguroitu vasteena henkilOtunnuksen si- 
s3lt3v3lle pyynndlle selvittSmSSn henkildtunnisteelle generoitu tunniste ja 
pyynndstd riippuen joko tallentamaan, muokkaamaan tai hakemaan arkaiuon- 
toista tietoa gerierbidiin tunhisteen perusteella. Vastaavasti sovellusosa on 
konfiguroitu vasteena henkilotunnuksen sis§lt§matt6malle pyynnQlle lahetta- 

10 m§an pyynnSn arkaluontoista tietoa sisaltavalle tietokannalle. Lisaksi esimerk- 
kisuoritusmuodon mukainen sovellusosa 1 22 on konfiguroitu kysymaan kaytta- 
Jalta, generoidaanko henkilotunnukselle tunniste, silloin kun sita ei tletokannas- 
ta leytynyt ja mikali'^kayttaja niin haluaa, pyytamaan tunnisteen generoimista. 
Keksinnon jossain muussa suoritusmuodossa sovellusosa voi olla konfiguroitu 

15 tarkistamaan vasteena henkilotunnuksen sisaitdvaile pyynnSlle pyytajan oikeus 
esittaa pyynto ja suorittamaan pyynnon edellyttdmat toiminnot vain, jos pyyt§- 
jail3 on oikeus esittaa pyynto. 

Keksinndn jossain muussa suoritusmuodossa tietoliikennepalvelin 
voi kasittaa muistia, johon on aliokoitu ennalta maaratty maara genefoituja 

20 tunnistelta tai tietty tunnisteavaruus, josta tunnisteita voidaan generoida. Tassa 
suoritusmuodossa sovellusosa 122 on jarjestetty vasteena tunnistetletokan- 
nalta vastaanotettuun tyhjaan vastaukseen tai negatiiviseen kuittaukseen ge- 
neroimaan henkilotunnukselle generoidun tunnisteen, kayttamaan sita eteen- 
pain lahetettavassa pyynndssa ja iahettamaan sen tunnistetietokantaan tallen- 

25 "nettavaksi, mikali pyynto on tiedon tallennuspyyntQ. Ennalta maaratyilia tunnis- 
-tellla tai tunnisteavaruudella saavutetaan se etu, etta ei generoida tunnistetta, 
jonka joku toinen tietoliikennepalvelin on mahdollisesti generoinut jollekin toi- 
selle henkilotunnukselle. 

Keksinndn eraassa toisessa suoritusmuodossa tietoliikennepalvelin 

30 voi kdsittaa paikallisen tunnistetietokannan. Tassa suoritusmuodossa tietolii- 
kennepalvelin on konfiguroitu ensin etsimaan generoitua tunnistetta omasta 
tietokannastaan ja vasta, jos ei Idyda sita, kysymaan sita varsinaiseltei 
tunnistetietokannalta. Tassa suoritusmuodossa tietoliikennepalvelin on myds 
edullisesti konfiguroitu synkronoimaan paikallisen tunnistetietokan^nsa joko 

35 mahdolllsimman usein (esimerkiksl tunnin vaiein) tai tervittaessa (aina uuden 
tunnisteen generoinnin jaikeen) varsinaisen tunnistetietokannan kanssa. 
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Kuviossa 5 havainnollistetaan esimerkkisuoritusmuodon mukaisen 
tunnistetietokannan sisaitSvan verkkosolmun toimirrtaa vuokaavion avulla. 
Esimerkkisuoritusmuodossa oletetaan, etta tietokanta sisSltas myds listauksen 
niista tietoliikennepalvelimista, joilla on pSSsy tietokannan tietoihin. 

Kun verkkosolmu vastaanottaa pyynnSn kohdassa 500, se tarkistaa 
kohdassa 501, olikb pyyntS hakupyyntO. Jos oil, se tarkistaa kohdassa 502, sl- 
saislka pyynte henkilOtunnusta hetu. Jos pyyntfi. sisaisi henkilotunnuksen, tar- 
kistaa verkkosolmu kohdassa 503, vastaanotettiinko pyyntS tietoliikennepalve- 
Ijmelta, jolla on paasy tietokannan tietoihin. Toisin sanoen tarkistetaan, onko 
tletoliikennepalvelln sallittu palvelin. Jos on, kohdassa 504 etsltasn henkilStun- 
riusta vastaavaa geheroitua tunnistetta tunnislfetietokannasta. Jos tuhniste loy- 
tyi tletokaniiasta (kohta 505), lahetetaan se kohdassa 506 vastauksena pyyrt- 
t66n. 

Jos kyseessa.el oilut hakupyynto (kohta 501), keksinnSn esimerkki- 
suoritusmuodossa on kyseessa tunnisteen generointipyynto, jonka seuraukse- 
na tunniste generoidaan kohdassa 507 ja tallennetaan se kohdassa 508 
henkilotunnuksen kanssa tietueeksl tunnlstetletokantaan, ja l§heteta§n 
kohdassa 506 vastauksena pyyntQSn. 

Jos pyynnSssa el oIlut mukana henkilOtunnusta (kohta 502), tal pal- 
velin ei oIlut sallittu (kohta 503) tai tunnistetta ei ISydetty, (kohta 505), IShete- 
tsan negatiivinen kuittaus Kohdassa 509. 

. Kuviossa 6 havainnollistetaan esimerkkisuoritusmuodon mukaisen 
reseptitietokannan eli arkaluontolsia tietoja slsaitavSn verkkosolmun toimintaa 
vuokaavion avulla. Esimerkkisuoritusmuodossa oletetaan, etta tietokanta sisai- 
"taa my6s listauksen niista tietoliikennepalvelimista, joilla on paasy tietokannan 
-tietoihin siteh, etta eriksieen ei ole listattu niita tietoliikennepalvelimia, joilla on 
oikeus hakea generoidun tunnisteen perusteella tietoa ja nirta, joilla sita oikeut- 
ta ei ole. KeksinnSn esimerkkisuoritusmuodossa oletetaan, etta tiettyyn henki- 
i66n liittyviin tietoihin kohdistuvat pyynn8t erotetaan pyynn6ssa olevan tunnis- 
teen perusteella massatietopyynnoista. 

Kuvion 6 esimerkissa oletetaan selvyyden vuoksi, etta pyydetty tieto 
I6ytyy. Alan ammattilaiselle on ilmeista, etta mikaii pyydettya tietoa el ISydy, 
pyyntoon vastataan lahettamaila esimerkiksi negatiivinen kuittaus, Joka voi si- 
saitaa syyn. 

Viitaten kuvioon 6, kun verkkosolmu vastaanottaa pyynnSn kohdas- 
sa 601, se tarkistaa kohdassa 602, vastaanotettiinko pyynt5 tletoliikennepalve- 
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limelta, jolla on paasy tietokannan tietoihin. Toisin sanoen tarkistetaan, onko 
tietoliikennepalvelin sallittu palvelln. Jos on, tarkistetaan kohdassa 603, sisSlsi- 
k6 pyyntS tunnisteen. Toisin sanoen taricistetaan, onko kyseessa jonkin lienki- 
Idn tietoihin liittyva pyynte val massatietopyyntO. Jos pyynnesssi oli tunniste, 
tarkistetaan kolidassa 604, onko pyyntS tiedon hakupyynt©. Jos on, haetaan 
koiidassa 605 pyydetty tieto, liitetadn kolidassa 606 tieto tunnisteeseen ja 13- 
hetetaan Icolidassa 607 vastaus tietoliikennepalvelimelle. 

Jos kyseessa ei oilut tiakupyyhtd (kohta 604), tarlcistetaan kolidassa 
6Q8, onko kyseessa tallennuspyyntd. Jos on, tailennetaan kohdassa 60^ tie- 
tokantaan pyynnossa oleva tieto yhdessa tunnisteen kanssa ja lahetetaan 
kohdassa 610 tietoliikennepalvelimeHe positiivlnen kuittaus. Esimerkkisuori- 
tusmuodossa kullakin tunriisteella on yksl tietue, johon tieto tailennetaan siella 
jo mahdollisesti olevan tiedon lisaksi. 

Jos kyseessa ei oIlut tallennuspyyntQkaan (kohta 608), on esimerk- 
kisuoritusmuodossa kyseessa tallennetun tiedon muokkauspyynts, jolloin koh- 
dassa 611 tailennetaan tunnisteen ja pyynnon yhdessa osoittemaan tietoon 
halutut muutokset ja lahetetaan kohdassa 610 positiivlnen kuittaus tietoliiken- 
nepalvelimeHe. 

Jos pyyntd ei sisaitanyt tunnistetta (kohta 603), on kyseessa Isom- 
paan tietomassaan liittyva hakupyynto, joista esimerkkeja on esitetly edelia, ja 
kohdassa 612 haetaan pyydetty tietomassa tietokannasta ja lahetetaan se 
kohdassa 607 vastauksena tietoliikennepalvelimeHe. 

Jos kyseessa ei oIlut sallittu palvelln (kohta 602), lahetetaan tietolii- 
kennepalvelimelle kohdassa 613 negatiivinen kuittaus. 

Kuviossa 7 havainnollistetaan esimerkkisuoritusmuodon mukaisen 
lietoliikennepalvelimeri toimintaa. Esimerkkisuoritusmuodossa oletetaan, etta 
yhteyden tietoliikennepalvelimeen pystyy muodostamaan alnoastaan kayttaja, 
joka siihen on oikeutettu. KeksinnSn jossain muussa suoritusmuodossa tietolii- 
kennepalvelin voi olla konfigurbitu suor'rttamaan erilaisia autentikointitoimenpi- 
teita. Esimerkkisuoritusmuodon mukaiseen tunnusmerkkitietokantaan on kon- 
figuroitu niiden verkkosolmujen osoitteet, joissa kaytettavat tietokannat sijalt- 
sevat. Lisaksi esimerkkisuoritusmuodossa oletetaan, etta generoitavat tunnls- 
teet generoidaan tietokannan sisaitavassa verkkosolmussa. 

Kun tietoliikennepalvelin vastaanottaa kohdassa 700 kayttajan 
pyynnen. se tarkistaa kohdassa 701. sisaislkS pyynte henkilStunnuksen hetu. 
Jos sisaisl, tietoliikennepalvelin erottaa kohdassa 702 henkildtunnuksen kayt- 
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taj§n pyynnSsta ja iahett§§ kohdassa 703 tunnistetietokannan sisaltavSlle 
verkkosolmulle hakupyynnon, joka sisaltaa erotetun henkilStunnuksen. 

Jos tunnistetietokannan slsaitdvdlta verkkosolmulta vastaanotettiin 
kohdassa 704 vastaus, joka sis3lsi generoidun tunnisteen (kohte 705), laittaa 
tietoliikennepalvelin sen kSyttajan pyynteon kohdassa 706 ja lahettaa kohdas- 
sa 707 kSyttajan pyynnSn reseptitietokannan sisattdvSlie verkkosolmulle. LShe- 
tettaya kSyttajSn pyynt5 el sisajia henlcilfttunnusta yaan generoidun tunnisteen. 

Tietoiiikennepalyeiin vastaanottaa kohdassa 708 reseptitietokannan 
.sis3ltavdlt3 verkkosolmulta vastauksen, poistaa kohdassa 709 vastaanot^- 
masta vastauksestaan generolduri tunnisteen, lis§a kohdassa 710 henkilStun- 
riukseh vaistaukseeh ja iahettaa kdhdassa 711 vastauksen kayttajaile. Tieto- 
liikerinepalvelin toimii hain riippumatta vastauksen sisailosta. Samalla tietolii- 
kennepalvelin poistaa muististaan sinne valiaikaisesti tallentamansa henkilo- 
tunnuksen. Keksinnon jossain muussa eduliisessa suoritusmuodossa tietolii- 
kennepalvelin voi kerata paikallista tunnlstetietokantaa, jolloin tallentaa siihen 
henkildtunnuksen siihen liittyvan generoidun tunnisteen kanssa. 

Jos kayttajan pyynto ei sisaitanyt henkilotunnusta (kohta 701), lahet- 
taa tietoliikennepalvelin kohdassa 712 kayttajan pyynnSn reseptitietokannan 
sisaltavaile verkkosolmulle. Vastaanotettuaan kohdassa.713 silta vastauksen, 
lahettaa tietoliikennepalvelin kohdassa 714 vastauksen kaytiajaile riippumatta 
vastauksen sisailosta. 

Jos tunnistetletokannalta vastaanotettu vastaus ei sisaitanyt tunnis- 
tetla (kohta 705), kysyy tietoliikennepalvelin kohdassa 715 kayttajaita, haluaa- 
ko han, etta henkildtunnukselle generoidaan tunniste. Jos kaytiaja haluaa 
"(kohta 716), etta tunniste generoidaan, lahettaa tietoliikennepalvelin tunniste- 
tietokannan sisaltavaile veirkkosoimulle kohdassa 717 generointipyynndn, jo- 
hon ottaa vastauksen kohdassa 704, josta jatketaan edelia kuvatulla tavalla. 

Jos kayttaja ei halunnut (kohta 716). etta tunnistetta generoidaan, 
lahettaa tietoliikennepalvelin kohdassa 718 kayttajaile kuittauksen, jossa tote- 
aa, etta tieto on vastaanotettu. Samalla tietoliikennepalvelin poistaa muistis- 
taan sinne valiaikaisesti tallentamansa henkilotunnuksen. 

KeksinnSn jossain muussa eduliisessa suoritusmuodossa tietolii- 
kennepalvelin ei tallenna edes valiaikaisesti henkilotunnusta ja tassa suoritus- 
muodossa tietoliikennepalvelin on konfiguroitu kysymaan kohtien 709 ja 710 
vaiissa generoidulla tunnisteelia henkiietunnusta. Tassa suoritusmuodossa 
tunnistetietokannan sisaitava verkkosolmu on konfiguroitu palauttamaan tieto- 
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liikennepalvelimelle henkilotunnuksen vasteena generoidun tunnisteen vas- 
taanotolle. 

Kuvioissa 5, 6 ja 7 esitetyt kohdat eivat ole absoluuttisessa aikajar- 
jestyksessa ja ne voidaan suorittaa annetusta jarjestyksest3 poiketen. Muita 
5 toimintoja, kuten kayttajan autentikointi ja suostumuksenhallintaan liittyvat toi* 
menpiteet, voidaan myds suorittaa kolitien valissa Esimerkiksi tietoliikennepal- 
yelin tai jommankumman tietpkannap slsait§vd verkkpsolmu voi tarkistaa, onkp 
yhteydenottajalla oikeus tietoihin, esimerkiksi onko yhteydenottaja tietty terve- 
yskeskus, tietty iadkdri, sallittu mainostaja tai apteekkari. Osa kuvioissa 

10 esitetyls^ kohdista, kuten sen tarkistaminen, onkb tietoiiikennepalvelin sallittu, 
voidaan jattaa my5s pois. 6n niyds malidollista, ett3 tietoiiikennepalvelin 
tunhistaa jo suoraan pyynnosta, millainen pyynto on kyseessa, jolloin ei 
tarvitse tarkistaa, sisSlsiko pyynto henkilotunnuksen tai generoidun tunnisteen. 
Vastaavasti tunnistetietokannan sisaltava verkkosolmu voi tunnistaa esi- 

15 merkiksi jo hakupyynnon rakenteesta, onko hakupyynto sellainen, etta mikail 
tunnistetta ei IQydy, sille voidaan generoida oma tunniste, jolloin kuviossa 5 
esitetyt vaiheet muuttavat jarjestysta, osa vailieista voi jaada pois ja uusia 
' ; vaiheita voi tulla tilalle. 

* ; Vaikka keksinto on selitetty edella olettaen, etta yhteen henkilotun- 

*l 20 nukseen iiittyy ainoastaan yksi generoitu tunniste, on alan ammattilaiselle il- 
^1 meista, etta keksintdd voidaan soveltaa myds ratkaisuihin, joissa Iienkil5tun- 

|j nukseen Iiittyy useampi generoitu tunniste. Tietokantojen kSytto ndissd suori- 

:! tusmuodoissa on alan ammattilaiselle ilmeista edella olevan selityksen perus- 

teella. 

25 ^ Tuiisi lisaksi huomata, etta edellS tietokantojen kdyttda on esitetty 

tiyvin pelkistetyin esimerk^in ja alan ammattilaiselle on ilmeista, etta keksjnndn 
i mukaisiin tietokantoihin voidaan toteuttaa keksinnon periaatteita noudattaen 

; hyvinkin monimutkaisia tietokantakyselyjd ja tietojen paivittdmisia. Esimerkiksi 

I laakityksen numeroinnin muuttuminen voidaan tehdaan suoraan massa-ajona 

i 30 arkaluontoisia tietoja sisaltavaan tietokantaan kaikkiin niihin resepteihin, jotka 
[ sisaitavat laakkeen, jonka numerointi muuttuu. 

Vaikka edella on oletettu, etta tiedonsiirto ja tallennettava arkaluon- 
toinen tieto on salaamatonta, keksintoS ei ole rajoitettu tallaiseen ratkaisuun. 
Arkaluontoinen tieto tai osa siita voidaan tallentaa salattuna. Myos tiedonsiirto 
35 tai osa siita voidaan suorittaa salattuna. 
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Vaikka keksintoa on edella selostettu olettaen, etta potilaan henkilo- 
tiedot turvataan, voidaan keksintod soveltaa myos reseptin kirjoittaneen laaka- 
rin henkilotietojen turvaamiseen vastaavasti muodostamalla laakareiden tun- 
nuksille generoituja tunnisteita ja tailentamalla ne joko omaan tai samaan tun- 
nistetietokantaan. 

Vaikka keksintd on edella selostettu kdyttaen henkildtunnusta henki- 
Ifin identifiolvana tunnisteena, on alan ammattiiaiselle llmeista, etta vaihtoeli- 
toisesti tai henkilOtunnuksen rinnalla voidaan kayttdS muita henkilOn riittdvaild 
tarkkuudeUaidentifioivia tunnisteita. 

Nykyisen keksinnOn toiminnaliisuuden toteuttava jdrjestelmS ja sen 
verkkosolmut ja jarjestelmaosat kasittavat tunnetun tekniikan mukaisten vaii- 
neiden lisaksi vaiinelta edella tarkemmin kuvattujen toiniintojen toteuttamiseen. 
Ne kasittavat prosessoreita ja muistia, joita voidaan tiyodyntaS keksinnon mu- 
kaisissa toiminnoissa. Kaikki keksinnon toteuttamiseen tarvittavat prosessointi- 
ja muut valineet, muutokset ja lisaykset voidaan suorittaa lisattyina tai paivitet- 
tyina ohjeimistorutiineina, prosessoreina ja/tai erilaisilla sovelluspiireilla (ASIC). 

Alan ammattiiaiselle on ilmeista, etta tekniikan kehittyessa keksin- 
ndn penjsajatus voidaan toteuttaa monin eri tavoin. Keksintd ja sen suoritus- 
muodot eivat siten rajoitu ylia kuvattuihin esimerkkeihin vaan ne voivat vaihdel- 
la patenttivaatimusten puitteissa. 
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Patenttivaatimukset 

1. MenetelmS arkaluontoisen tiedon tallentamiseksi jSrjestelmassd. 
joka kSsittaa kaksi tietokantaa, joka menetelma k3sitta§ ainakin vaiheet 

vastaanotetaan tallennuspyyntd, joka kSsittaa tailennettavan tiedon 
5 ja ensimmaisen tunnisteen, joka identifioi henkildn, johon tallennettava tieto liit- 
tyy; 

tunnettu slita, etta . , 
generoidaan (507) tolnen tunnlste; 

tallennetaan (508) ensimmaiseen tietokantaan ensimmaine^ 
10 te ja toinen tunnlste siten, etta ensimmainen tunniste sidotaan toiseen 
; tunnisteeseen; ja 

tallennetaan toiseen tietokantaan tallennettava tieto yhdessa toisen 
tunnisteen kanssa. 

2. Patenttivaatimuksen 1 mukainen menetelma, tunnettu siita, 
15 etta se kasittaa lisaksi vaiheet: 

tarkistetaan (505) ennen toisen tunnisteen generoimista ensimmai- 
sesta tietokannasta. onko ensimmalselle tunnlsteelle jo genero'rtu toinen tun- 
niste; 

mikaii on, kaytetaan ensimmaisessa tietokannassa olevaa tolsta 
20 tunnistetta; ja 

mikaii el ole, generoidaan toinen tunniste. 

3. Patenttivaatimuksen 1 tai 2 mukainen menetelma, tunnettu 
siita, etta se kasittaa lisaksi vaiheet: 

; vastaanotetaan hakupyyntd, joka sisattaa ensimmaisen tunnisteen; 

. . 25 ~ liaetaan ensimmaisestd tietokannasta ensimmdists tunnistetta vas- 

taava toinen tunniste; ja 

haetaan toisesta tietokannasta pyydetty tieto toista tunnistetta kayt- 

taen. 

4. Patenttivaatimuksen 3 mukainen menetelma, tunnettu siita, 
30 etta se kasittaa lisaksi vaiheen, jossa lahetetaan pyyntoon vastaus, joka sisai- 

taa pyydetyn tiedon ja ensimmaisen tunnisteen. 

5. Tietoliikennepalvelin (12, 22) tietojarjestelrriassa, joka kasittaa ai- 
nakin kaksi tietokantaa ja tailennettavan tiedon tuottavan jarjestelman, joka tie- 

^ toliikennepalvelin kasittaa 



• •( 
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vastaanottovaiineet (121) pyynnOn vastaanottamiseksi, joka pyynta 

sisdlt3a tallennettavan tiedon ja ensimmSisen tunnisteen, joka identifioi henki- 

Idn, johon tallennettava tieto iiittyy; 

t u n n e tt u silta, etta tfetolilkennepalvelin (12. 22) kasittaa llsdksi 
ensimmaiset prosessolntivSlineet (122) ensimmaista tunnistetta vas- 

taavan tolsen tunnisteen selvittamiseksl tietojarjestelman ensimmaisesta tleto- 

kannasta;ja 

toiset prosessointivalineet (122) tallennettavan tiedon taltentamisek- 
si yhdessa tolsen tunnisteen kanssa tietojarjestelman toiseen tietokantaan. 

• 6. Patenttivaatimuksen 5 mukalnen tietolllkennepalvelln (12, 22), 
t u n n e 1 1 u. siita, etta 

vastaanottovaiineet (121) on sovitettu vastaanottamaan myfis tle- 
dpnhakupyyntd ja erbttamaan sen taliennuspyynndsta; ja 

toiset prosessointivalineet (122) on sovitettu llsaksi hakemaan tal- 
lennettu tIeto yhdessa tolsen tunnisteen kanssa tietojarjestelman tolsesta tieto- 
kannasta vasteena tiedonhakupyynnfille ja vailttamaan haettu tieto llman tolsta 
tunnistetta tiedonhakupyynndn eslttajaile. 

7. Tietoliikennepalvelm (12, 22) tietojarjestelmassa, joka kaslttaa 
ainakin kaksl tietokantaa ja tallennettua tietoa sisaitavan jarjestelman, joka tie- 
toilikennepalvelin kaslttaa 

vastaanottovaiineet (121) pyynn6n vastaanottamiseksi, joka pyyntd 
Iiittyy tallennuttuun tietoon ja sisaitaa ensimmaisen tunnisteen, joka Identifioi 
henkilon, johon tallennettu tieto Iiittyy; 

tunnettu siita, etta tietoiilkennepalvelin kaslttaa llsaksi 

ensimmaiset prosessointivalineet (122) ensimmaista tunnistetta vas- 
.taavan tolsen tunnisteen selvittamiseksl tietojarjestelman ensimmaisesta tleto- 
kannasta;ja 

toiset prosessointivalineet (122) tallennetun tiedon hakemiseksi yh- 
dessa toisen tunnisteen kanssa tietojarjestelman tolsesta tietokannasta. 
. 8. Verkkosolmu, joka kaslttaa 

tletokannan (DB1) tietojen tallentamiseen, ja 

vastaanottovaiineet (31) tietokantaan kohdistuvan pyynnSn vas- 
taanottamiseksi ja pyynndssa olevan ensimmaisen tunnisteen erottamisdksi, 
joka enslmmainen tunnlste Identifioi henkiian, johon tallennettava tieto llltlyy; 

tunnettu siita, etta verkkosolmu kaslttaa llsaksi 
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generolntivailneet (32) toisen tunnisteen generoimlseksl enslmmai- 
selle tunnisteelle; 

tallennusvalineet (32) ensimmaisen tunnisteen ja toisen tunnisteen 
tailentamiseksi tietol<antaan siten, ettS ensimmSinen tunniste sidotaan toiseen 
tunnisteeseen; ja 

vastausvaiineet (31) toisen tunnisteen palauttamisel<si vasteena 

pyyntdSn. 

. 9. Patenttiyaatimul<sen 8 mul<ainen verl^lcosolmu, tunnettu siitd, 
etta . 

se l<asitta§ lisaksi prosessointivalineet (32) sen tarkistamisete^ 
sdltaake) tietokanta ensimmaiselle tunnisteelle toisen tunnisteen, ja mikali ei 
leydy, jiipaisemaan generointivaiineet; ja 

generointivaiineet (32) on kbnfiguroitu olemaan vasteeliisia proses- 
sointivaiineille. 

10. Tietoj3rjestelma. joka kslsittad 
ainakin yhden tietoliikennepalveiimen (12, 22) 
ainakin kaksi tietokantaa (DB1, DB2) 
tunnettu siita, etta 

ensimmainen tietokanta (DB1) kasrttaa tietueita, joissa henkil8n 
identifoiva ensimmainen tunniste on liitetty ainakin yliteen toiseen tunnisteen, 
joka yksinaan ei identifoi iienkiloa; 

toinen tietokanta (DB2) kasittaa arkaluontoista tietoa tallennettuna 
siten, etta kukin lienkiiekolitainen tieto on sidottu vastaavaan toiseen tunnis- 
teeseen; ja 

tietoliikennepaivelin (12. 2.2) on jarjestetty vasteena ensimmaisen 
.tunnisteen sisaltavaile pyynn6ll6 selvittaniaan ensimmaista tunnistetta vastaa- 
van toisen tunnisteen ensimmaisesta tietokannasta, poistamaan pyynnSsta 
ensimmaisen tunnisteen, lisaamaan pyynt(36n toisen tunnisteen ja sen jaikeen 
lahettamaan pyynn6n toiselle tietokannalle. 



(57) Tiivistelma 

KeksinnOn kohteena on menetelma, jarjestelm3, tietolii- 
kennepatvelimet ja verkkosolmu arkaluontoisten tietojen 
tailentamiseen siten, etta ne ovat tarvittaessa heiposti ha- 
ettavissa esimerkiksi henkilotunnisteella ilman ylimaardisid 
tunnlsteita, mutta tallennettu niin, ettei riiita pystyta yhdis- 
tamaan henkiloQn. Keksinto perustuu sisaisen tunrristeen 
ja kahden erillisen tietokannan kayttoon siten, etta kun 
vastiaanotetaan tallennuspyynto (700), joka kasittaa tal- 
lennettavan tiedon ja enslmmaisen tunnisteen, joka identi- 
fioi henkilon, johoh tallennetfava tieto liittyy; niin generpi- 
daan tolrien tunniste; tallennetaan ensimmaiseen tietokan- 
taan ensimmainen tunniste ja tolnen tunniste siten, etta 
ensimmainen tunniste sidotaan toiseen tunnistieeseen; ja 
tallennetaan toiseen tietokantaan tailennettava tieto yh- 
dessa toisen. tunnisteen kanssa. 
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